2022年《数据出境安全评估办法》重点解读
20222022年数据出境安全评估办法年数据出境安全评估办法重点解读重点解读汇报人：汇报人：XXXXXX目录目录一一数据出境评估情形与流程数据出境评估情形与流程二二评估对象评估对象三三数据出境评估内容数据出境评估内容四四企业自评估的维度及要求企业自评估的维度及要求五五法律责任法律责任 20222022年年7 7月月7 7日，备受关注的日，备受关注的数据出境安全评估办法数据出境安全评估办法（“评评估办法估办法”）终于正式颁布）终于正式颁布，于，于20222022年年9 9月月1 1日日起施行起施行。办法规定。办法规定了数据出境安全评估的范围、条件和程序，为数据出境安全评估工作了数据出境安全评估的范围、条件和程序，为数据出境安全评估工作提供了具体指引，标志着网络安全法数据安全法个人信息提供了具体指引，标志着网络安全法数据安全法个人信息保护法规定的保护法规定的数据出境安全评估制度数据出境安全评估制度正式落地。正式落地。引引 言言一一数据出境评估情形与流程数据出境评估情形与流程一、数据出境评估情形与流程一、数据出境评估情形与流程（一）从数据类型监管出发（一）从数据类型监管出发-数据处理者向境外提供重要数据数据处理者向境外提供重要数据有关重要数据的定义，评估办法在第十九条进行了明确，“本办法所称重要数据重要数据，是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用等，可能危害国家安全、经济运行、社会稳定、公共健康和安全等的数据”。一、数据出境评估情形与流程一、数据出境评估情形与流程该定义与重要数据识别指南（后续将更名为重要数据识别规则）所确立的识别原则一致，即不再采用列举式识别重要数据，而采用危害性后果对数据进行识别。一、数据出境评估情形与流程一、数据出境评估情形与流程（二）（二）从数据处理者身份出发从数据处理者身份出发-关键信息基础设施运营者和处理关键信息基础设施运营者和处理100100万人以上个人信息的数据处理者向境外提供个人信息万人以上个人信息的数据处理者向境外提供个人信息有关关键信息基础设施的定义和认定规则，关键信息基础设施安全保护条例进行了原则性的规定，企业应当根据保护工作部门（即涉及的重要行业和领域的主管部门、监督管理部门）的认定确认自身是否属于关键信息基础设施企业，从而判断自身是否属于关键信息基础设施运营者。一、数据出境评估情形与流程一、数据出境评估情形与流程（三）（三）从数据数量级出发从数据数量级出发-自上年自上年1 1月月1 1日起累计向境外提供日起累计向境外提供1010万人万人个人信息或者个人信息或者1 1万人敏感个人信息的数据处理者向境外提供个人信息万人敏感个人信息的数据处理者向境外提供个人信息评估办法将敏感信息的累计方式加入了起算时间，即安全评估日“上年”的1月1日。值得注意的是该计算方式与近日公布个人信息出境标准合同规定（征求意见稿）的规定已经协调一致。一、数据出境评估情形与流程一、数据出境评估情形与流程此外，“10“10万人万人”“1”“1万人万人”的数量指标的数量指标，我们理解应当计算的应当是“人数”的数量而非个人信息的条数，且数量应以独立的数据处理者计算。上述的“100万人”的计算方式亦同本条所释。需要特别注意的是，累计计算数量的目的仍在于锚定受到规制的数据处理者。累计提供个人信息或敏感个人信息的量级达到后，再对外提供个人信息时无论何等数量均需进行数据安全评估。一、数据出境评估情形与流程一、数据出境评估情形与流程从整体体例来看，数据出境安全评估办法对安全评估的程序性规则和实体评估内容均进行了规定。办法中所规定的自评估申请评估重新评估，以及评估材料、评估时间、评估通知、评估材料补充更正、评估结果撤销均属于程序性的规定。这些规定能够帮助数据处理者定位自己在开展数据出境安全评估工作中所处的时间点位。一、数据出境评估情形与流程一、数据出境评估情形与流程（四）（四）数据安全评估的流程数据安全评估的流程评估办法对数据安全评估的流程进行了微调，主要体现在下述几个方面：1、增加了省级网信部门的完备性查验义务，对资料不全的应当退回并一次性告知需要补充的材料；一、数据出境评估情形与流程一、数据出境评估情形与流程2、取消了重要数据出境时国家网信部门征求相关行业主管部门意见的程序。3、取消了国家网信部门最长60个工作日的评估期限；4、增加了对评估结果的异议和复评程序。一、数据出境评估情形与流程一、数据出境评估情形与流程一、数据出境评估情形与流程一、数据出境评估情形与流程二二评估对象评估对象评估办法从数据类型、数据处理者身份、数据数量级出发在评估办法第4条规定了评估对象。除此以外，目前已有散落规定规定了大量将落入数据安全评估的评估对象。二、评估对象二、评估对象二、评估对象二、评估对象二、评估对象二、评估对象二、评估对象二、评估对象三三数据出境评估内容数据出境评估内容上述环节中，数据处理者的自评估与网信部门等有关部门安全评估构成整个评估流程中相对关键和重要的内容。数据出境安全评估办法第5条、第8条及对自评估及安全评估的重点事项进行了列举说明。三、数据出境评估内容三、数据出境评估内容值得注意的是，对于数据出境安全自评估是否为企业的强制性法律义务，在数据出境安全评估办法中也给出了相应的倾向性回答。我们注意到，数据出境安全评估办法正式稿第5条改变了企业需履行“自评估”的法定条件，将原先征求意见稿中“数据处理者在向境外提供数据前”改为“数据处理者在申报数据出境安全评估前”。三、数据出境评估内容三、数据出境评估内容对于明显不符合或者不属于需向网信部门等相关部门申报数据出境安全评估的情形，数据出境安全风险自评估可能并非强制性法律义务，但这并不代表企业在向境外提供数据前无需进行任何内部自主判断，因此企业依然可以通过自评估的方式，对于是否满足数据出境安全评估的要求进行自证。此外，个人信息保护法第55条仍然对企业向境外提供个人信息的行为，需履行个人信息保护影响评估的法定义务。三、数据出境评估内容三、数据出境评估内容三、数据出境评估内容三、数据出境评估内容除上述之外，数据出境安全评估办法第9条对数据跨境法律文件（合同）应当包含的内容也进行了说明；法律文件条款的设置也将构成自评估和安全评估的重要组成部分。三、数据出境评估内容三、数据出境评估内容四四企业自评估的维度及要求企业自评估的维度及要求数据出境安全评估办法第5条、第8条和第9条的内容，本文认为可以从以下几个维度分别开展自评估工作：数据处理者维度、数据接收方维度、数据出境风险维度，以及合同约束维度。四、企业自评估的维度及要求四、企业自评估的维度及要求四、企业自评估的维度及要求四、企业自评估的维度及要求四、企业自评估的维度及要求四、企业自评估的维度及要求五五法律责任法律责任评估办法第十八条以指示性规定条款，强调了数据处理违反数据出境安全评估制度时将“依据中华人民共和国网络安全法、中华人民共和国数据安全法、中华人民共和国个人信息保护法等法律法规处理；构成犯罪的，依法追究刑事责任”。网络安全法数据安全法和个人信息保护法中关于违反数据出境安全和不履行网络安全、数据安全和个人信息保护义务的相关罚则条款将得到适用。五、法律责任五、法律责任五、法律责任五、法律责任五、法律责任五、法律责任五、法律责任五、法律责任感 谢 您 的 观 看感 谢 您 的 观 看汇报人：汇报人：XXXXXX
